<?php
declare(strict_types=1);
require __DIR__ . '/app/boot.php';

$path = parse_url($_SERVER['REQUEST_URI'] ?? '/', PHP_URL_PATH) ?: '/';
$path = trim((string)$path, '/');
$seg  = $path === '' ? [] : explode('/', $path);

/* Заголовки безопасности. Content-Security-Policy запрещает подключать
   что-либо со сторонних доменов: на сайте нет ни одного внешнего запроса,
   а значит и утечки IP посетителей за пределы России. */
header('X-Content-Type-Options: nosniff');
header('X-Frame-Options: SAMEORIGIN');
header('Referrer-Policy: same-origin');
header('Permissions-Policy: geolocation=(self), camera=(), microphone=()');
/* Яндекс.Карты добавляются в список разрешённых источников только если
   ключ действительно указан. Нет ключа — нет и стороннего скрипта. */
$ymaps = cfg('features.ymaps_key') ? ' https://api-maps.yandex.ru https://*.maps.yandex.net' : '';
$metrika = cfg('features.metrika_id') ? ' https://mc.yandex.ru' : '';
header("Content-Security-Policy: default-src 'self'; img-src 'self' data:{$ymaps}{$metrika}; "
     . "style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-inline'{$ymaps}{$metrika}; "
     . "connect-src 'self'{$ymaps}{$metrika}; frame-ancestors 'self'; base-uri 'self'; form-action 'self'");

/* Пока не установлено — везде ведём на установщик. */
if (!is_installed() && ($seg[0] ?? '') !== 'install') {
  if (($seg[0] ?? '') === 'api') json_out(['ok' => false, 'error' => 'Система не установлена. Откройте /install'], 503);
  header('Location: /install/');
  exit;
}

if (($seg[0] ?? '') === 'api') {
  require APP_DIR . '/api.php';
  require APP_DIR . '/image.php';
  require APP_DIR . '/fns.php';
  api_route($_SERVER['REQUEST_METHOD'], array_slice($seg, 1));
  exit;
}

if (($seg[0] ?? '') === 'legal') {
  require APP_DIR . '/legal.php';
  render_legal($seg[1] ?? 'policy');
  exit;
}

/* Фотографии отдаём через PHP, чтобы каталог uploads можно было
   закрыть от прямого доступа и не дать выполнить залитый файл. */
if (($seg[0] ?? '') === 'file' && isset($seg[1])) {
  $name = basename($seg[1]);
  $full = ROOT_DIR . '/uploads/' . $name;
  if (!preg_match('/^[\w\-]+\.jpg$/', $name) || !is_file($full)) { http_response_code(404); exit; }
  header('Content-Type: image/jpeg');
  header('Cache-Control: public, max-age=604800');
  readfile($full);
  exit;
}

/* Всё остальное — одностраничное приложение. */
start_session();
csrf_token();
readfile(ROOT_DIR . '/view/index.html');